ИБ-специалисты нашли уязвимости в радионянях
Тысячи китайских радионянь Mi-Cam, подключенных к Интернету, транслируют звук и видео с серьезными ИБ-уязвимостями. По иронии, компания-производитель таких радионянь носит название MiSafes. Устройство, предназначенной для дистанционного наблюдения за младенцами, передает потоковое видео в формате 720p, а также транслирует звук в двух направлениях через облачные сервисы Amazon. В качестве приемного устройства используется смартфон родителей.
Приложение смартфона работает следующим образом: оно подключается к AWS-решению, входит в аккаунт пользователя, и получает доступ к видео и аудио, которое передается с устройства, находящегося рядом с младенцем.
Специалисты компании SEC Consult, сообщили, что нашли шесть уязвимостей в этом продукте. Самая серьезная — это небезопасные прямые ссылки на объекты. В результате достаточно сделать запрос с идентификатором учетной записи. Не требуется даже ввод какого-либо пароля или аутентификация. То есть можно подключиться к приложению, и перебирая идентификаторы, смотреть на всех детей подряд. Помимо этого, исследователи обнаружили еще пять проблем, включая небезопасную процедуру смены пароля пользователем.